检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息，经由自定义函数对资源操作的信息进行分析和处理，产生告警日志。再由SMN消息通知服务通过短信和邮件推送告警信息，通知业务人员进行处理。
资源类型”>“筛选类型”，单击“查询”执行搜索，查看过滤结果。 过滤条件查询示例：依次选择“管理事件”>“ECS”>“ecs”>“按资源ID”>“虚拟机ID”，单击“查询”执行搜索，默认查询过去1小时以内的操作记录。通过设置时间范围，最多可以查看最近7天的操作记录。 单击左侧导航
涉及其它云服务接口 创建管理类追踪器时，需要查询用户的桶列表： 获取桶列表：确定将要配置转储的桶名称。 创建管理类追踪器 接口相关信息 URI格式：POST /v3/{project_id}/tracker 请求示例 POST https://{cts_endpoint}/v3/{project_id}/tracker
有影响。 本节介绍如何停用/启用追踪器。 使用限制 停用追踪器后，操作事件仍可以正常上报到云审计服务。您可以在事件列表查看已有的7天内的操作记录，但是您无法查看新的操作记录、转储事件至OBS/LTS和接收关键事件通知。 前提条件 已开通云审计服务。 停用/启用管理类事件追踪器 登录管理控制台。
什么是云审计服务 日志审计模块是信息安全审计功能的核心必备组件，是企事业单位信息系统安全风险管控的重要组成部分。 云审计服务（Cloud Trace Service，以下简称CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分
图2 开启转储到LTS功能 单击“下一步 > 配置”，完成配置system追踪器。追踪器配置成功后，您可以在追踪器信息页面查看配置的追踪器的详细信息。 在云日志服务LTS查询审计事件 在追踪器页面，单击system追踪器右侧的LTS日志流名称，进入到system-trace日志流详情页面。
操作动作和结果的实时记录。 通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息，经由自定义函数对资源操作的信息进行分析和处理，产生告警日志。 SMN消息通知服务通过短信和邮件推送告警信息，通知业务人员进行处理。处理流程如图1所示。 图1 处理流程 案例价值点 通过CTS
如果您需要确定一台ECS的创建用户，可以通过CTS记录的事件进行查看。 前提条件 已开启云审计服务 已开启获取创建的ECS主机的资源ID 操作方法 登录云审计控制台。 单击左侧导航树的“事件列表”，进入事件列表界面。 时间范围选择某日上午6点到中午12点，然后在搜索框中依次查询： “云服务：ECS” > “事件名称：createServer”
在搜索框中依次查询： “云服务：ECS” > “资源类型：ecs” > “事件级别：warning”，根据创建虚拟机弹性云服务器失败的操作，在结果中查看事件名称为“createServer”操作记录事件。 查看操作记录，重点关注响应中的错误提示信息，根据错误提示代码或错误提示信息进行问题定位分析。
介绍如何在管理控制台删除数据事件追踪器。 使用限制 删除追踪器后，操作事件仍可以正常上报到云审计服务。您可以在事件列表查看已有的7天内的操作记录，但是您无法查看新的操作记录、转储事件至OBS/LTS和接收关键操作通知。 前提条件 已成功创建数据类事件追踪器。 删除数据类事件追踪器
绍如何在管理控制台删除管理类事件追踪器。 使用限制 删除追踪器后，操作事件仍可以正常上报到云审计服务。您可以在事件列表查看已有的7天内的操作记录，但是您无法查看新的操作记录、转储事件至OBS/LTS和接收关键操作通知。 重新“开通云审计服务”可恢复管理类追踪器。 前提条件 已开通云审计服务。
标识特定用户名称，用以查询该用户下的所有事件。 from 否 Long 标识查询事件列表的起始时间戳（timestamp，为标准UTC时间，毫秒级，13位数字，不包括传入时间）默认为上一小时的时间戳。查询条件from与to配套使用。 limit 否 Integer 标示查询事件列表中限定
标识特定用户名称，用以查询该用户下的所有事件。 from 否 Long 标识查询事件列表的起始时间戳（timestamp，为标准UTC时间，毫秒级，13位数字，不包括传入时间）默认为上一小时的时间戳。查询条件from与to配套使用。 limit 否 Integer 标示查询事件列表中限定
标识触发事件的用户信息。 request 否 Structure 标识事件对应接口请求内容，即资源操作请求体。 response 否 Structure 记录用户请求的响应，标识事件对应接口响应内容，即资源操作结果返回体。 service_type 是 String 标识查询事件列表对应的云服务类型。
记录时间起，向更早时间查询）。 可以与“from”、“to”结合使用。 最终的查询条件取两组时间条件的交集。 to 否 Long 标识查询事件列表的结束时间戳（timestamp，为标准UTC时间，毫秒级，13位数字，不包括传入时间）默认为当前时间戳。查询条件to与from配套使用。
在左侧导航栏中选择“关键操作通知”，页面跳转到关键操作通知页面，根据需要执行以下操作，具体请参见表1。 表1 相关操作 操作 说明 查看关键操作通知 单击通知名称，可以查看该通知的操作列表和用户列表详细信息。 启/停关键操作通知 单击操作列“启用/停用”，可以开启/关闭该关键操作通知。 说明： 只有配置了SM
问题描述 在CTS控制台创建追踪器，系统报错。 操作步骤 键入F12查看报错信息。如果是请求没有发送，查看是否浏览器安装了拦截插件，关闭插件后可以正常创建。 如果用户有权限仍无法创建追踪器，在中心region（北京四）查看是否开通CTS，如未开通则需要使用主账号在中心region开通CTS后创建追踪器。
在左侧导航栏中选择“关键操作通知”，页面跳转到关键操作通知页面，根据需要执行以下操作，具体请参见表2。 表2 相关操作 操作 说明 查看关键操作通知 单击通知名称，可以查看该通知的操作列表和用户列表详细信息。 启/停关键操作通知 单击操作列“启用/停用”，可以开启/关闭该关键操作通知。只有配置了SMN的关键操
f4", "request_id": "null" } 在以上信息中，可以重点关注如下字段： "time"：标识事件产生的时间戳，本例中为1718777931170。 "user"：记录了操作用户的信息，本例中操作用户为账户（domain字段）IAMDomainB下的用户（name字段）IAMUserA。
如何查询IAM用户登录的IP地址 问题描述 如果您想查询IAM用户的登录IP地址和登录时间，以确认当前账号是否存在安全风险，可以通过CTS记录的事件进行查看。 前提条件 已开启云审计服务。 操作方法 进入云审计服务控制台。 选择时间范围，然后在搜索框中依次查询： “云服务：IAM”
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
